# 39、物联网信息系统确定
> 物联网信息系统确定：认定为物联网系统须同时满足的三条判据（具有感知设备、网络构成具有两种及以上不同类型网络的融合、应用系统能对感知设备采集的信息进行处理并实现智能化识别定位管理监控）、现场高频物联网系统清单与常见定级水平、判定流程与留痕要求，附测评项对照表。
---
LLMS index: [llms.txt](/wikis/llms.txt)
---
> 定位：**判定被测信息系统是否属于物联网系统**的三条判据与常见系统清单——这是决定是否适用
> GB/T 22239-2019 物联网**安全扩展要求**的前置步骤。
> 配套：[38、物联网之安全物理环境、区域边界](../38物联网安全物理环境与区域边界测评/)（判定为物联网后的核查要点）；
> 通用要求见 [17、加固方案总纲](../../../reinforce/其他系统或设备/17网络设备安全设备服务器数据库和应用系统的加固方案/)。
> 适用：等保 2.0 各等级；定级与测评方案编制阶段使用。
>
> 使用说明：
>
> - 本文所有命令均为**只读取证**命令，不修改配置、不重启服务、不执行清除类操作；确需变更由被测单位运维方在授权下实施。
> - 命令回显本身即证据，须连同命令行一起截图；示例中的地址、账户、路径均为演示值，现场须替换为真实取证结果，并对个人信息与内网管理地址脱敏后再入报告。
> - 命令不存在或输出与示例差异较大时，先确认产品版本与部署形态（物理机/虚拟机/容器/集群），再换用等效命令或转入配置文件、管理控制台取证，**不得据命令缺失直接判不符合**。
> - 文中「默认」「一般」等表述均为**初判倾向**，须经上机核查 + 访谈 + 配置/制度核对三方印证后定论，并在报告中写明取证来源。
>
> 不适用标识说明：
>
> - 使用 `【不适用】` 明确标记现场可判定为不适用的控制点，并写明判定依据与承载该能力的上位组件。
> - 依据 GB/T 28448-2019「按测评对象实际承载功能与数据处理范围判定」原则：控制能力由上层应用、统一认证平台、前置代理、堡垒机、日志审计系统、虚拟化平台或云托管平台承载时，应注明测评单元边界后判定不适用或转由上位组件核查，不得机械按缺失判不符合。
> - 产品版本确实不提供该能力（如设备无可信根、社区版无审计模块）时，须核查替代措施并按替代措施的实际效果定档，不得直接判不适用。
## 一、物联网信息系统确定
> **对应控制点**：GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》与 GB/T 22239-2019 8.4 物联网安全扩展要求的适用性判定
>
> **判定要点**：本节为适用性判定，不单独出符合性结论。须同时满足「具有感知设备」「网络构成具有两种及以上不同类型网络的融合」「应用系统能对感知设备采集的信息进行处理并实现智能化识别、定位、管理与监控」三条，方可认定为物联网系统并适用 8.4 物联网安全扩展要求；仅满足其一或其二 → 按通用要求测评并在报告中写明判定过程与依据。
>
> **取证要求**：系统定级备案材料、网络拓扑图（体现网络融合类型）、感知设备清单与部署位置、应用系统功能说明与截图（体现智能化处理能力）、判定过程纪要与三方印证记录。
高风险提示
未做物联网系统适用性判定即直接按通用要求出具测评结论，导致 8.4 物联网安全扩展要求整章漏测，属测评质量重大问题；现场应留存判定过程与三方印证记录，避免漏判或误判。
判定口径详见 [22、高风险判定指引与加固对照表](../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
三条须同时满足，缺一即不按物联网扩展要求测评
仅有感知设备但网络单一（如纯局域网视频监控），或虽有传感器但未做智能化处理，
**不构成物联网系统**，应按通用要求测评，不适用感知节点物理防护、接入控制等扩展条款。
实践中争议最大的是**第 2 条（网络融合）**：多数"智慧 XX"系统同时具备互联网出口与移动/专网回传，
可认定为满足；而纯有线局域网内的传感器系统则不满足。现场应访谈网络拓扑并留存拓扑图。
不适用的也要写明理由
若判定**不适用**物联网扩展要求，必须在测评方案中写明理由（缺哪一条），不能留空。
评审与备案环节常会追问该结论。